如何防止Debian Redis被攻击

为降低Debian系统上Redis遭受未授权访问、数据泄露或恶意操作的风险，需从网络隔离、认证授权、文件权限、服务配置及监控维护等多维度实施安全措施，以下是具体方案：

1. 启用强密码认证

Redis默认未开启密码认证（requirepass参数被注释），需修改配置文件强制要求客户端提供密码。

编辑Redis配置文件（通常位于/etc/redis/redis.conf），找到# requirepass foobared行，取消注释并设置复杂密码（包含大小写字母、数字和特殊字符，长度不少于12位），例如：
```
requirepass Complex@Pass2024!
```
重启Redis服务使配置生效：
```
sudo systemctl restart redis-server
```
连接Redis时需通过-a参数指定密码（如redis-cli -a Complex@Pass2024!），或通过AUTH命令交互式认证。

2. 绑定内网IP限制访问

默认情况下，Redis监听所有网络接口（bind 127.0.0.1 -::1），需修改为仅允许内网IP访问，减少公网暴露风险。

编辑redis.conf，找到bind参数，取消注释并设置为内网IP地址（如192.168.1.100），例如：
```
bind 192.168.1.100
```
若需允许多个内网IP访问，可添加多个bind条目（如bind 192.168.1.100 10.0.0.5）。

3. 配置防火墙限制端口访问

通过防火墙（如ufw）仅允许特定IP地址访问Redis默认端口（6379），阻断非法IP的连接请求。

安装ufw（若未安装）：
```
sudo apt install ufw
```

启用ufw并设置规则：

sudo ufw enable
sudo ufw allow from 192.168.1.0/24 to any port 6379  # 允许内网网段访问
sudo ufw deny 6379  # 默认拒绝其他IP访问

验证规则是否生效：
```
sudo ufw status
```

4. 禁用或重命名危险命令

Redis的某些命令（如FLUSHALL删除所有数据、CONFIG修改服务器配置、EVAL执行Lua脚本）若被未授权访问，可能导致严重后果，需禁用或重命名。

编辑redis.conf，找到对应命令行（以#开头），取消注释并将命令名修改为随机字符串（如""表示禁用），例如：
```
rename-command FLUSHALL ""
rename-command CONFIG "secure_config"
rename-command EVAL "safe_eval"
```
重启Redis服务使配置生效。

5. 启用保护模式（Protected Mode）

保护模式是Redis的内置安全机制，开启后可防止未配置密码或未绑定IP的Redis实例被外部访问。

编辑redis.conf，找到protected-mode参数，设置为yes（默认值），若已开启则无需修改：
```
protected-mode yes
```
若需允许公网访问，需同时配置bind（绑定IP）和requirepass（设置密码），此时可将protected-mode设为no，但不建议这样做。

6. 设置合理的文件权限

Redis配置文件（redis.conf）和数据目录（/var/lib/redis）包含敏感信息，需限制访问权限，防止未授权用户读取或篡改。

修改配置文件权限（仅允许拥有者读写执行）：
```
sudo chmod 700 /etc/redis/redis.conf
```

修改数据目录权限（仅允许Redis用户访问）：

sudo chown -R redis:redis /var/lib/redis
sudo chmod 700 /var/lib/redis

7. 定期更新Redis至最新版本

旧版本Redis可能存在已知安全漏洞（如未授权访问、命令注入），需定期通过apt更新到最新稳定版，及时修复安全问题。

更新软件包索引：
```
sudo apt update
```
升级Redis：
```
sudo apt upgrade redis-server
```

8. 监控访问日志与异常行为

定期检查Redis访问日志（默认位于/var/log/redis/redis-server.log），关注异常连接（如频繁的失败登录尝试、陌生IP访问），及时采取措施（如封禁IP、修改密码）。

查看实时日志：

sudo tail -f /var/log/redis/redis-server.log

可使用日志分析工具（如fail2ban）自动封禁多次失败的IP地址。

9. 使用SSL/TLS加密传输（可选但推荐）

默认情况下，Redis数据以明文形式传输，易被窃听或篡改。可通过配置SSL/TLS加密客户端与服务器之间的通信。

生成SSL证书（可使用openssl或Redis自带的gen-test-certs.sh脚本）：

cd /usr/local/etc/redis
sudo openssl req -x509 -newkey rsa:2048 -nodes -days 365 -keyout redis.key -out redis.crt

编辑redis.conf，启用TLS端口并指定证书路径：

tls-port 6379
tls-cert-file /usr/local/etc/redis/redis.crt
tls-key-file /usr/local/etc/redis/redis.key
tls-ca-cert-file /usr/local/etc/redis/ca.crt  # 若有CA证书

重启Redis服务使配置生效。

10. 实施基于角色的访问控制（ACL，Redis 6.0+）

Redis 6.0及以上版本支持ACL（访问控制列表），可为不同用户分配不同的权限（如只读、读写、管理），避免过度授权。

创建只读用户（仅允许GET、SCAN、PING等命令）：

redis-cli ACL SETUSER readonly_user on >ReadonlyPass123 ~* +get +scan +ping

创建读写用户（允许SET、DEL等命令）：

redis-cli ACL SETUSER readwrite_user on >ReadWritePass123 ~* +get +set +del

使用用户连接Redis时需指定用户名和密码（如redis-cli -u redis://readonly_user:ReadonlyPass123@localhost:6379）。

通过以上措施的综合应用，可显著提升Debian系统上Redis的安全性，有效防范常见的攻击行为。需定期审查配置（如每季度检查密码强度、更新防火墙规则），并根据业务需求调整安全策略。

如何防止Debian Redis被攻击